Software NIS2: dalla direttiva all'autovalutazione ACN operativa

Cos'è la NIS2

La direttiva NIS2 (UE) rafforza e amplia gli obblighi di cybersecurity per le organizzazioni che forniscono servizi essenziali o importanti nell'Unione. Non è solo un elenco di controlli tecnici: impone governance del rischio, misure proporzionate, gestione degli incidenti e, in molti casi, obblighi di segnalazione verso le autorità nazionali.

Per le imprese italiane, «adeguamento NIS2» significa capire se si è soggetti, quali requisiti applicano e come dimostrare — con evidenze — che le misure sono attuate e monitorate. Un software NIS2 serve proprio a rendere questo percorso operativo, ripetibile e auditabile.

Regula organizza quel percorso in sequenza chiara: requisiti e catalogo misure → raccolta evidenze → gap → priorità → report e monitoraggio. È il filo conduttore della landing e del prodotto.

Chi è soggetto alla NIS2

Sono soggetti NIS2 le organizzazioni che rientrano nei settori e nelle soglie dimensionali previsti dalla direttiva e dalla normativa nazionale di recepimento. La qualificazione dipende dal tipo di servizio, dalle dimensioni e, in certi casi, da criteri specifici del settore.

Prima di aprire una checklist NIS2 conviene chiarire il perimetro: se siete in scope, quali entità del gruppo lo sono, e quali servizi o sistemi rientrano nella gestione del rischio. Regula supporta l'autovalutazione e la documentazione; la qualificazione giuridica resta una valutazione caso per caso (spesso con supporto consulenziale).

Soggetti essenziali e importanti

La NIS2 distingue tipicamente soggetti essenziali e soggetti importanti, con livelli di supervisione e, in alcuni ambiti, intensità di obblighi e sanzioni differenziate. In entrambi i casi restano centrali: misure di gestione del rischio cyber, procedure di incident response e capacità di dimostrare cosa è stato implementato.

Nella pratica operativa la differenza non azzera il lavoro: anche un soggetto importante ha bisogno di requisiti chiari, evidenze e un piano di miglioramento. Il software aiuta a non trattare l'adeguamento come un progetto «una tantum», ma come un ciclo di assessment continuo.

Principali obblighi

Tra gli obblighi NIS2 più rilevanti per l'organizzazione: adottare misure tecniche e organizzative adeguate al rischio; gestire la supply chain e i fornitori critici; preparare rilevazione e risposta agli incidenti; formare le persone coinvolte; documentare decisioni e controlli.

Questi obblighi NIS2 si traducono in requisiti concreti: policy, controlli, test, log, contratti, ruoli e responsabilità. Regula li struttura come misure valutabili con stato, target, note e allegati — così audit NIS2 e governance interna parlano lo stesso linguaggio.

Senza uno strumento condiviso, obblighi e requisiti restano sparsi tra Excel, email e cartelle di progetto: difficile dimostrare coerenza nel tempo e responsabilità chiare.

• Governance e gestione del rischio cybersecurity
• Misure tecniche e organizzative proporzionate
• Incident management e documentazione dimostrabile

Scadenze

Le scadenze NIS2 in Italia dipendono dal recepimento nazionale, dagli adempimenti verso l'ACN (dove previsti) e dal percorso interno di adeguamento dell'organizzazione. Date e obblighi formali possono evolvere: conviene verificarli sulle fonti ufficiali e con il proprio consulente.

Operativamente, oltre alle scadenze normative contano le milestone interne: completamento dell'autovalutazione, chiusura dei gap prioritari, riesami periodici e preparazione al report per board o auditor. Regula rende visibile avanzamento e residual gap, così le scadenze non restano solo sul calendario legale.

Autovalutazione

L'autovalutazione NIS2 è il passaggio da requisiti generici a uno stato documentato: per ogni misura si registra il livello attuale, il target, le note e le evidenze. Non è una checklist statica da firmare una volta: è un assessment che si aggiorna quando cambiano sistemi, fornitori o minacce.

In Regula l'autovalutazione si basa sul catalogo del Framework ACN: import aggiornabile, stati di avanzamento e collegamenti ad asset e trattamenti. L'obiettivo è misurare la compliance e sapere cosa manca, non accumulare fogli non versionati.

Framework ACN

In Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) ha definito il Framework Nazionale per la Cybersecurity e la Data Protection: la struttura di riferimento usata in Regula per organizzare l'autovalutazione NIS2.

Il Framework ACN articola le misure in funzioni (Govern, Identify, Protect, Detect, Respond, Recover), con categorie, livelli di maturità e richieste di evidenza. È il ponte tra linguaggio normativo e linguaggio operativo di audit e gap analysis.

Livelli di maturità

I livelli di maturità descrivono quanto una misura è definita, attuata, misurata e migliorata nel tempo. Definire un livello target per misura evita l'illusione del «tutto o niente»: si pianifica un percorso realistico rispetto a rischio, risorse e criticità degli asset.

In Regula ogni misura ha stato attuale e target: la differenza alimenta la gap analysis e le priorità. È il meccanismo che trasforma una checklist NIS2 in un piano di lavoro.

Gap analysis

La gap analysis NIS2 confronta dove siete e dove dovreste essere: misure sotto target, evidenze mancanti, responsabilità non assegnate. Senza gap analysis l'autovalutazione resta un inventario; con i gap diventa un elenco di interventi.

Regula evidenzia i GAP e li collega allo Score Globale e alle priorità, così board e team tecnici condividono la stessa fotografia. Utile per audit interni, piani di remediation e comunicazioni di governance.

Gestione evidenze

Le evidenze sono ciò che rende credibile l'adeguamento NIS2: procedure, configurazioni, log di controllo, contratti fornitori, report di test, verbali, formazione. Dichiarare una misura «attuata» senza allegati è fragile in audit.

Regula supporta la gestione evidenze NIS2 con allegati e note per misura: così assessment e documentazione restano nello stesso posto. In audit non dovete ricostruire la prova da cartelle sparse.

La qualità delle evidenze conta quanto il livello dichiarato: un allegato aggiornato e collegato alla misura corretta vale più di una dichiarazione generica di conformità.

Asset ICT

Server, applicazioni, endpoint, cloud e servizi terzi sono il perimetro reale del rischio. Un registro asset ICT aggiornato consente di collegare misure ACN e trattamenti GDPR agli oggetti che contano, non a un modello astratto.

In Regula cataloghi gli asset e li colleghi a misure e trattamenti: il motore di priorità può così tenere conto della criticità dell'infrastruttura, non solo del peso teorico della misura.

Aggiornare il registro asset quando entrano nuovi servizi cloud o fornitori critici evita che l'autovalutazione descriva un perimetro obsoleto.

Priorità delle misure

Non tutte le lacune hanno lo stesso impatto. Le priorità delle misure combinano gap di maturità, peso della misura, criticità degli asset e — con profilo GDPR/NIS2 — il rischio privacy dei trattamenti collegati.

È il passaggio da «lista di gap» a «cosa fare questa settimana». Lo Score Globale e i report aiutano a spiegare le scelte a management e auditor senza perdere il dettaglio tecnico.

Report di conformità

Il report di conformità sintetizza avanzamento, gap e stato delle misure in un documento stampabile: utile per audit NIS2, comitati di rischio e comunicazione interna. Non sostituisce attestazioni ufficiali eventualmente richieste dalle autorità, ma rende dimostrabile il percorso di autovalutazione.

Con Regula esporti una vista coerente con i dati dell'assessment: meno tempo a costruire slide ad hoc, più tempo a chiudere i gap prioritari.

Il report diventa anche uno strumento di allineamento: stesso dato per IT, compliance, DPO e direzione, aggiornato quando cambia lo stato delle misure.

Monitoraggio nel tempo

L'adeguamento NIS2 non finisce al primo assessment. Cambiano asset, fornitori, minacce e livello target: serve monitoraggio nel tempo con riesami, snapshot e dashboard NIS2 aggiornata.

Regula supporta l'evoluzione dell'autovalutazione e la visione di avanzamento: così il software NIS2 resta lo strumento quotidiano di governance cyber, non un progetto chiuso dopo il kick-off.

Integrare il monitoraggio con il modulo GDPR (stesso tenant, stessi asset) riduce i silos tra privacy e cybersecurity proprio dove i rischi si sovrappongono.